Säkerhetsbulletin från Debian

DSA-1887-1 rails -- städar inte indata

Rapporterat den:

2009-09-15

Berörda paket:

rails

Sårbara:

Referenser i säkerhetsdatabaser:

I Debians felrapporteringssystem: Fel 545063.
I Mitres CVE-förteckning: CVE-2009-3009.

Ytterligare information:

Brian Mastenbrook upptäckte att rails, det rubybaserade MVC-ramverket inriktat på webbapplikationsutveckling, är sårbart för serveröverskridande skriptangrepp med hjälp av felformaterade strängar i formulärhjälparen.

För den gamla stabila utgåvan (Etch) har säkerhetsstödet avslutats. Det har rapporterats att rails i den gamla stabila utgåvan är oanvändbart och flera funktioner som påverkas av säkerhetsproblem är funktionsodugliga på grund av programmeringsfel. Du rekommenderas starkt att uppgrade till versionen i den stabila utgåvan (Lenny).

För den stabila utgåvan (Lenny) har detta problem rättats i version 2.1.0-7.

För uttestningsutgåvan (Squeeze) och den instabila utgåvan (Sid) har detta problem rättats i version 2.2.3-1.

Vi rekommenderar att ni uppgraderar era rails-paket.

Rättat i:

Debian GNU/Linux 5.0 (lenny)

Källkod:: http://security.debian.org/pool/updates/main/r/rails/rails_2.1.0-7.diff.gz; http://security.debian.org/pool/updates/main/r/rails/rails_2.1.0-7.dsc; http://security.debian.org/pool/updates/main/r/rails/rails_2.1.0.orig.tar.gz
Arkitekturoberoende komponent:: http://security.debian.org/pool/updates/main/r/rails/rails_2.1.0-7_all.deb

MD5-kontrollsummor för dessa filer finns i originalbulletinen.